Cisco 近日發布更新以解決多個產品的安全性弱點

風險等級: 低度威脅
摘  要: 弱點通告:Cisco
近日發布更新以解決多個產品的安全性弱點,建議請管理者儘速評估更新!
影響系統: Cisco Video Surveillance 8000系列 IP CamerasCisco Identity Services Engine 2.3至2.7Cisco Webex Teams Windows版本3.0.13464.0至3.0.16040.0
解決辦法: 請參考 Cisco 官網並依建議方式處理 Cisco Advisory
https://tools.cisco.com/security/center/publicationListing.x
細節描述: Cisco 近日發布更新,以解決多個產品的安全性弱點。(1)Cisco 視訊監控系統8000系列 IP Cameras 存在安全性弱點。可能允許未經身份驗證的攻擊者在受影響的設備上執行任意程式碼,或導致設備重新載入。
此弱點是由於IP Cameras發生協定封包缺少驗證而導致。攻擊者可以通過將惡意的協議封包發送到受影響的設備來利用此弱點。成功利用該弱點可能使攻擊者在受影響的IP Cameras上執程式碼,或使其意外重新載入,從而導致阻斷服務 (DoS) 狀態。

(2)Cisco Identity Services Engine(ISE)Web管理界面存在安全性弱點。可能允許經過身份驗證的遠端攻擊者修改受影響設備上的部分設定。
該弱點是由於Web管理界面中不正確實施使用者的訪問控制(RBAC)所致。攻擊者可以通過向受影響的設備發送特製的HTTP請求來利用此弱點。成功利用此弱點可能使攻擊者修改部分設定。修改後的設定可能允許未經授權的設備進入網路,或者阻止授權的設備訪問網路。要利用此弱點,攻擊者將需要有效的唯讀管理員權限。

(3)Cisco Webex Teams Windows版客戶端存在安全性弱點。將特定DLL的載入機制中的弱點可能允許經過身份驗證的本地攻擊者載入惡意資料庫。要利用此弱點,攻擊者需要Windows系統上的有效權限。
該弱點是由於在運行時對目錄路徑的不正確處理所致。攻擊者可以通過將惡意DLL檔案放置在目標系統上的特定位置來利用此弱點。該檔案將在有弱點的應用程式啟動時執行。成功利用可使攻擊者使用另一個用戶的特權在目標系統上執行任意程式碼。

參考資訊: us-cert
CVE-2020-3544
CVE-2020-3467
CVE-2020-3535